Railway-Hack: Was Krypto-Nutzer mit Bots und API-Schlüsseln jetzt tun müssen

Der US-Hostinganbieter Railway hat am 21. Oktober 2026 gemeldet, dass ein unbefugter Dritter womöglich auf die gespeicherten Umgebungsvariablen seiner Kunden zugegriffen und einen Teil davon entschlüsselt hat. In solchen Variablen liegen API-Schlüssel, Datenbankzugänge und bei vielen Krypto-Diensten auch Börsenschlüssel und private Wallet-Schlüssel. Railway rät allen Kunden, sämtliche Schlüssel auszutauschen. Die Sicherheitsforscherin Taylor Monahan zählt schon Abflüsse von rund 371.000 Dollar aus Wallets, deren Schlüssel bei Railway lagen; Railway hat diesen Zusammenhang nicht bestätigt. Auch Cryptoticker ist Railway-Kunde und hat die Warnung in der Nacht erhalten.

Wie der Vorfall ablief, was Railways Bedingungen zur Haftung sagen und warum das ein Fall für die Politik ist, hat unser Gründer Dennis Weidner ausführlich eingeordnet, mit Screenshot der Kundenmail: Railway-Sicherheitsvorfall: Warum die Haftung bei 100 Dollar endet.

Railway-Hack: Das Wichtigste in Kürze

• 21. Oktober 2026, 21:59 Uhr UTC: Railway nennt auf seiner Statusseite den Sicherheitsvorfall und rät, alle Umgebungsvariablen zu widerrufen.
• Rund 371.000 Dollar flossen laut Taylor Monahan ab 19:36 Uhr UTC ab, über 500 Transaktionen von mehr als 200 Adressen auf mindestens 19 Blockchains.
• Über 2 Millionen Entwickler nutzen Railway nach eigenen Angaben. Wie viele Kunden betroffen sind, sagt das Unternehmen nicht.
• 22. Oktober, 04:17 Uhr UTC: Railway macht alle eigenen API-Tokens seiner Kunden ungültig.
• 100 Dollar beträgt die Haftungsgrenze in Railways Nutzungsbedingungen, wenn die Entgelte der letzten zwölf Monate niedriger sind.

Railway-Hack: Was bisher bekannt ist

Railway ist eine Plattform, auf der Entwickler Anwendungen, Datenbanken und Hintergrunddienste betreiben, ohne eigene Server zu verwalten. Auch Krypto-Projekte nutzen solche Plattformen, etwa für Handelsbots, Telegram-Bots und kleine Backends. Am Morgen des 21. Oktober meldete die Statusseite zunächst einen Plattformausfall, Builds wurden gestoppt. Am Abend folgte die Sicherheitsmeldung von Gründer Jake Cooper: Railway habe anomale Aktivität an den Systemen entdeckt, die Umgebungsvariablen speichern, und vermutet eine Angriffsserie gegen Plattformfirmen mit dem Ziel, KI-Anbieter zu kompromittieren (Sicherheitsmeldung von Railway).

Wie die Angreifer hineinkamen und welche Kunden betroffen sind, nennt Railway bisher nicht. Das Unternehmen hat selbst die Zugangsdaten aller Speicher-Buckets und die GitHub-Verbindungen zurückgesetzt und am 22. Oktober alle Railway-API-Tokens ungültig gemacht (Statusseite des Vorfalls). Builds für Enterprise-Kunden liefen ab 03:32 Uhr UTC wieder, für Pro-Kunden ab 06:29 Uhr UTC, kleinere Tarife warteten am Mittag noch.

Wallet-Abflüsse nach dem Railway-Hack: Was On-Chain-Analysten melden

Die ersten Folgen kamen vor der Warnung. Die Sicherheitsforscherin Taylor Monahan schrieb in der Nacht auf X, private Schlüssel aus Railway seien offenbar mit einem verbreiteten Sweeper-Skript abgeräumt worden. Sie zählt rund 371.000 Dollar, über 500 Transaktionen, mehr als 200 betroffene Adressen und mindestens 19 EVM-Blockchains, beginnend am 21. Oktober um 19:36 Uhr UTC (Taylor Monahan auf X). Der Dienst Onchain Lens meldet eine mutmaßliche Angreifer-Wallet, die mindestens 369.300 Dollar an die Börse HitBTC und weitere Adressen geschickt haben soll, und nennt die Verbindung zu Railway selbst unbestätigt.

Die beiden Zahlen stammen aus unterschiedlichen Zählungen und lassen sich nicht addieren. Railway hat die Abflüsse nicht bestätigt. Auffällig ist der zeitliche Ablauf: Die Abflüsse begannen gut zwei Stunden, bevor Railway seine Kunden öffentlich warnte. Wer seine Schlüssel erst nach der Mail tauschte, kam für ein betroffenes Wallet womöglich schon zu spät.

Warum Krypto-Bots beim Railway-Hack besonders gefährdet sind

Ein Handelsbot braucht Zugriff auf eine Börse, ein Arbitrage- oder Sniper-Bot oft direkt auf ein Wallet. Beides landet bei Plattformen wie Railway typischerweise als Umgebungsvariable: der API-Schlüssel samt Secret der Börse oder gleich der private Schlüssel einer Hot Wallet. Wer diesen Speicher öffnet, braucht keine weitere Lücke. Ein privater Schlüssel reicht, um ein Guthaben in Sekunden auf eine fremde Adresse zu schieben, auf allen Blockchains, auf denen dieselbe Adresse Mittel hält.

Bei Börsenschlüsseln hängt der Schaden an den Rechten. Ein Schlüssel ohne Auszahlungsrecht und mit IP-Bindung ist für einen Angreifer wenig wert, ein Schlüssel mit Auszahlungsrecht ist ein offenes Konto. Wie wenig Rechte ein Steuertool oder Bot wirklich braucht, zeigen wir im Ratgeber API-Schlüssel bei Krypto-Börsen prüfen. Dass ein einziger Schlüssel einen Kontoeinbruch überleben kann, zeigte zuletzt der Fall bei MEXC.

Dazu kommt das Motiv, das Railway selbst nennt: KI-Schlüssel. Gestohlene Zugänge zu Sprachmodellen werden weiterverkauft, Sicherheitsforscher von Sysdig bezifferten die Kosten für ein Opfer schon 2024 auf über 46.000 Dollar am Tag (Sysdig zu LLMjacking). Wer in seinem Krypto-Projekt KI-Funktionen nutzt, sollte diese Schlüssel genauso tauschen wie die Börsenzugänge.

Railway-Hack: Schlüssel tauschen, Wallets umziehen

Jeder Schlüssel, der bei Railway lag, gilt als bekannt, bis das Gegenteil belegt ist. Ausgetauscht wird beim Aussteller, nicht nur in Railway. Die Reihenfolge richtet sich danach, was Geld bewegt:

1. Wallets zuerst. Lag ein privater Schlüssel oder eine Seed-Phrase in einer Variable, zieh das Guthaben sofort auf eine neue Adresse mit neuem Schlüssel um, am besten auf eine Hardware-Wallet; welche Geräte sich eignen, zeigt unser Hardware-Wallet-Vergleich. Ein bloßes Umbenennen der Variable schützt nichts.
2. Börsenschlüssel widerrufen. Lösche die alten API-Schlüssel direkt bei der Börse und lege neue an, ohne Auszahlungsrecht und mit fester IP-Adresse. Prüfe die Liste der erlaubten Auszahlungsadressen. Für Bots eignen sich Börsen mit klaren Regeln für API-Rechte, eine Übersicht bietet unser Vergleich regulierter Krypto-Börsen.
3. Protokolle lesen. Sieh bei jeder Börse und jedem Dienst nach, ob seit dem 21. Oktober Zugriffe von fremden IP-Adressen kamen, Aufträge oder Auszahlungen, die du nicht kennst.
4. KI- und Zahlungsschlüssel tauschen. Railway nennt in seinen Leitfäden ausdrücklich OpenRouter, Grok, Anthropic, OpenAI und Stripe. Setz dort Ausgabenlimits.
5. Datenbanken absichern. Neue Passwörter, offene Verbindungen beenden. Liegen Kundendaten darin, läuft die Frist von 72 Stunden für eine Meldung an die Datenschutzaufsicht.

Haftung: Railway zahlt höchstens 100 Dollar

Eine Entschädigung hat Railway nicht angekündigt. Die Nutzungsbedingungen in der Fassung vom 20. April 2026 schließen Folgeschäden, Betriebsunterbrechung und Datenverlust aus und begrenzen alles andere auf 100 Dollar oder die Entgelte der letzten zwölf Monate, je nachdem, was höher ist (Railway Terms of Service). Die Klausel steht laut archivierten Fassungen seit 2021 wortgleich im Vertrag. Es gilt das Recht von Delaware, gestritten wird in einem Schiedsverfahren in San Francisco. Für ein leergeräumtes Bot-Wallet heißt das: Den Schaden trägst du. Warum das für deutsche Firmen ein grundsätzliches Problem ist und wen man politisch ansprechen kann, steht in der Analyse von Dennis Weidner.

PHP2Shell: Zweite kritische Lücke derselben Woche

Am selben 21. Oktober erschienen Updates für PHP2Shell, zwei Lücken in PHP mit 9,2 von 10 Punkten, über die Angreifer ohne Anmeldung Code auf Webservern ausführen können. Behoben sind sie in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (php.net). Das BSI rät, ungepatchte Systeme notfalls vom Netz zu nehmen. Für Krypto-Nutzer heißt das vor allem: Bei Diensten auf älterer PHP-Technik, etwa kleinen Shops oder Zahlungsseiten mit Krypto-Kasse, lohnt es sich, Zugangsdaten nicht doppelt zu verwenden. Weitere Fälle sammeln wir in unserer Rubrik Krypto-Hacks und Sicherheit.

Dieser Artikel ist keine Anlageberatung. Wir aktualisieren ihn, sobald Railway den Angriffsweg oder die Zahl der Betroffenen nennt.